打开pikachu的注入SQL注入靶场，第一眼看到的注入那个输入框，其实已经暴露了它的注入全部秘密。它没有过滤任何东西，注入甚至没做基础的注入类型校验。你输入`1`，注入它返回一条数据；你输入`1'`，注入它直接报错——这不是注入漏洞，这是注入把漏洞写在脸上。

我试了试字符型注入那个关卡。注入输入`kobe' or 注入1=1 -- `，回显直接拉出所有用户数据。注入那一刻我有点恍惚——就这么简单？注入没有WAF，没有转义，注入连空格都没被吃掉。注入这跟现实中碰到的那些层层设防的目标完全不同。现实里的SQL注入，你得猜字段数、试闭合方式、盲注还得靠时间函数慢慢磨。pikachu倒好，直接给你开了扇门，就差在门口写“请进”了。

但别急着嘲笑它太假。这个靶场真正有价值的地方，是它把注入点分门别类摆在你面前。数字型、字符型、搜索型、POST型、还有基于报错的、基于布尔的、基于时间的。你一个个打过去，手感就出来了。比如数字型那个，你输入`1 and 1=1`和`1 and 1=2`，对比返回结果，就知道它在拼SQL时根本没加引号。这种对比，比看十篇原理文章都管用。

最让我意外的是宽字节注入那个模块。它模拟了`addslashes`函数转义单引号的情况——你输入`%bf'`，它把`'`变成`\'`，但前面的`%bf`和反斜杠凑成了一个非法字符，MySQL自动把两个字节当成一个汉字吃掉，反斜杠就消失了。我第一次打通这个的时候，心里咯噔一下。原来安全防护不是加了函数就完事，编码问题能让所有努力白费。这感觉就像你锁好了门，结果小偷从窗户爬进来，而那扇窗你一直以为关着。

实际渗透中，你哪来这么干净的测试环境？但正因为pikachu干净，你才能看清每个漏洞的本质。它把SQL注入拆解成一个个可重复的步骤，像解剖课上的标本，每一根血管都标注得清清楚楚。我见过有人拿pikachu练手，打完了就觉得自己会注入了，结果一到真实站点，连报错都看不到，直接懵在原地。靶场是练刀的地方，不是上战场的地方。

有个细节值得提。pikachu的SQL注入页面，后台代码故意写得毫无防御——但就是这种“故意”，反而比那些号称“安全”的代码更有教育意义。你看一眼源码，就明白漏洞是怎么形成的，再对比修复后的版本，知道该在哪儿加过滤、用什么函数、参数化查询怎么写。这一来一回，比背一百条漏洞描述都实在。

说到底，pikachu就是个放大镜，把真实世界里那些藏在角落、混在复杂逻辑里的注入点，一个个拎出来摆在你眼前。你嫌它简单？可现实中很多漏洞，就是栽在这种“简单”上。开发者觉得“这地方谁会注入啊”，结果就被注了。你在这边多流几滴汗，到了那边就能少流几滴血。行了，别光看了，去把每一关都打一遍，打不通的看源码，打通了想想怎么防。这玩意儿，光说不练，等于白看。